Confermato lo sfruttamento in ambiente reale delle vulnerabilità PHP2Shell

I ricercatori di sicurezza hanno confermato che le vulnerabilità critiche di PHP2Shell, identificate con i codici CVE-2026-109618 e CVE-2026-109619, vengono attivamente sfruttate in attacchi reali. Le falle, che interessano il linguaggio di programmazione PHP ampiamente utilizzato, consentono agli aggressori di ottenere l’esecuzione remota di codice (RCE), dando loro potenzialmente il controllo sui server web vulnerabili.

I ricercatori che gestiscono honeypot esposti a Internet hanno raccolto prove di uno sfruttamento riuscito ai danni di un server Apache con PHP 8.4.26, fornendo la conferma più solida finora che gli aggressori possono sfruttare in modo affidabile queste vulnerabilità. Rapporti precedenti avevano individuato tentativi diffusi di scansione e sfruttamento, ma la maggior parte degli attacchi osservati non era andata a buon fine prima che fossero disponibili le patch di sicurezza.

Le vulnerabilità hanno attirato notevole attenzione a causa dell’ampio utilizzo di PHP su siti web, applicazioni web e sistemi di gestione dei contenuti a livello globale. I fornitori di soluzioni di sicurezza avevano già avvertito che gli autori delle minacce avevano iniziato a sondare i sistemi vulnerabili ancor prima che le patch fossero rese pubbliche, e l’attività è aumentata notevolmente in seguito alla divulgazione.

Il team di sviluppo di PHP ha già rilasciato aggiornamenti di sicurezza e le organizzazioni sono esortate ad applicare immediatamente le patch. Gli esperti avvertono che i sistemi non aggiornati rimangono ad alto rischio di compromissione, mentre una vulnerabilità di PHP recentemente resa nota, per la quale non è ancora disponibile una patch, sta aggiungendo ulteriore preoccupazione per i responsabili della sicurezza che monitorano le infrastrutture esposte a Internet. Leggi la nostra guida QUI.

L’ex ministro della Difesa sostiene che l’attacco informatico a Jaguar Land Rover fosse sostenuto dallo Stato

È emerso un nuovo dibattito sull’attacco informatico che nel 2025 ha gravemente compromesso l’attività di Jaguar Land Rover (JLR), dopo che l’ex ministro delle Forze Armate del Regno Unito Al Carns ha pubblicamente suggerito che l’incidente fosse sostenuto da uno Stato straniero ostile. L’attacco, precedentemente collegato a un gruppo criminale informatico russo, ha costretto la più grande casa automobilistica britannica a interrompere la produzione per cinque settimane e ha causato disagi a migliaia di aziende lungo tutta la sua catena di approvvigionamento.

Si stima che l’attacco informatico abbia causato danni economici compresi tra 1,6 e 2,1 miliardi di sterline, rendendolo uno degli incidenti informatici più costosi nella storia del Regno Unito. Secondo quanto riferito, circa 5.000 organizzazioni, tra cui concessionarie, fornitori e partner di riparazione, sono state colpite, poiché JLR è stata costretta a disattivare i sistemi informatici chiave e le operazioni di produzione.

Pur chiarendo che le sue osservazioni non si basavano su una valutazione ufficiale del governo, Carns ha sostenuto che un attacco di tale portata difficilmente avrebbe potuto verificarsi all’insaputa del Paese ospitante. Le autorità britanniche non hanno formalmente attribuito l’incidente a un attore statale e il governo ha rifiutato di commentare le indagini in corso.

L’attacco ha suscitato una massiccia risposta internazionale che ha coinvolto il National Cyber Security Centre (NCSC) del Regno Unito, la National Crime Agency (NCA), l’FBI ed esperti di sicurezza informatica del settore privato. L’incidente ha riacceso il dibattito sulla protezione delle infrastrutture critiche, sulla resilienza della catena di approvvigionamento e sulla crescente sovrapposizione tra criminalità informatica e minacce geopolitiche.

ENGIE conferma la violazione dei dati dei clienti a seguito della compromissione di una piattaforma di terze parti

Il fornitore energetico francese ENGIE ha confermato che i dati dei clienti sono stati sottratti dopo che alcuni aggressori hanno compromesso una piattaforma di marketing utilizzata da uno dei suoi partner commerciali. L’incidente non ha interessato i sistemi informatici interni di ENGIE, ma l’accesso non autorizzato alla piattaforma di terze parti ha esposto le informazioni dei clienti relative alle attività francesi dell’azienda.

Secondo ENGIE, i dati compromessi includono i recapiti dei clienti e informazioni limitate relative ai contratti energetici. Le informazioni esposte includerebbero nomi, indirizzi postali, indirizzi e-mail, numeri di telefono, identificativi dei clienti e numeri di contratto. L’azienda ha sottolineato che durante la violazione non è stato effettuato alcun accesso a dati bancari o di pagamento.

ENGIE ha dichiarato di aver rapidamente revocato l’accesso agli autori dell’attacco, di aver informato le autorità competenti e di aver contattato i clienti interessati. A questi ultimi è stato consigliato di rimanere vigili nei confronti dei tentativi di phishing e frode, poiché i criminali informatici utilizzano spesso le informazioni personali rubate per far apparire più legittime le comunicazioni fraudolente.

Sebbene l’azienda non abbia rivelato il numero di clienti coinvolti né abbia attribuito l’attacco a un gruppo di hacker specifico, l’incidente mette in luce i rischi per la sicurezza informatica associati ai fornitori terzi e alle piattaforme di marketing. La violazione costituisce un ulteriore monito sul fatto che le organizzazioni devono estendere il controllo sulla sicurezza oltre i propri sistemi, includendo partner e fornitori di servizi che gestiscono i dati dei clienti.

Portale fiscale belga messo fuori servizio a seguito di un attacco informatico

Il Servizio Pubblico Federale delle Finanze del Belgio (FOD Financiën) ha temporaneamente sospeso diversi servizi online, tra cui il portale fiscale MyMinfin, dopo aver rilevato un attacco informatico diretto alla propria infrastruttura digitale.

MyMinfin è ampiamente utilizzato da privati e aziende per gestire le dichiarazioni dei redditi, consultare documenti finanziari e accedere ai servizi fiscali governativi. Come misura precauzionale, le autorità hanno sospeso l’accesso alla piattaforma mentre i team tecnici indagano sull’incidente e implementano ulteriori misure di sicurezza.

L’interruzione ha interessato anche altri servizi digitali gestiti dall’autorità fiscale, spingendo i funzionari ad annunciare che alcune scadenze per la presentazione delle dichiarazioni dei redditi saranno prorogate. Le nuove date di presentazione dovrebbero essere comunicate una volta ripristinati i servizi.

In questa fase, il FOD Financiën afferma che non vi sono prove che i dati personali o finanziari siano stati compromessi, sebbene le indagini siano ancora in corso. Le autorità continuano a valutare la portata complessiva dell’incidente e stanno lavorando per mettere in sicurezza i sistemi interessati prima di ripristinare i servizi online.

L’attacco mette in luce le crescenti sfide in materia di sicurezza informatica che devono affrontare le agenzie governative e i servizi pubblici essenziali, dove la disponibilità dei servizi e la protezione dei dati rimangono priorità fondamentali di fronte a minacce informatiche sempre più sofisticate.

La violazione dei dati di Sony espone 2,5 milioni di record dei clienti

Sony Network Communications, una controllata del Gruppo Sony, ha confermato una significativa violazione dei dati che ha esposto le informazioni personali di circa 2,5 milioni di clienti attuali ed ex clienti. L’incidente ha interessato la piattaforma di servizi Internet So-net dell’azienda ed è stato scoperto diversi giorni dopo che si era verificato un accesso non autorizzato ai database dei clienti.

Secondo l’azienda, i dati compromessi includono nomi dei clienti, numeri di telefono, indirizzi e-mail, ID utente, date di nascita, informazioni sul sesso e identificatori di connessione a Internet. Sebbene non siano stati divulgati dati bancari, informazioni relative alle carte di pagamento o dati relativi ai conti finanziari, gli investigatori hanno confermato che è stato effettuato l’accesso anche a oltre 54.000 account e-mail e alle relative password, il che ha portato all’emissione di avvisi di sicurezza e alla raccomandazione di reimpostare le password.

La violazione riguarda sia i clienti di So-net sia gli utenti dei servizi forniti tramite una partnership con NTT Docomo, uno dei maggiori operatori di telecomunicazioni del Giappone. In risposta, NTT Docomo ha avvertito i clienti di prestare attenzione alle campagne di phishing e ai siti web fraudolenti che tentano di sfruttare le informazioni rubate.

Sony ha segnalato l’incidente all’autorità giapponese garante della privacy e continua a indagare sulle cause e sulla portata della violazione. Sebbene al momento non vi siano prove che i dati rubati siano stati attivamente utilizzati in modo improprio, la violazione sottolinea i crescenti rischi per la sicurezza informatica che i fornitori di servizi di telecomunicazione devono affrontare e il valore che i dati dei clienti rivestono per i criminali informatici.

Se siete preoccupati per una delle minacce descritte nel presente bollettino o avete bisogno di assistenza per stabilire quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, vi invitiamo a contattare il vostro account manager oppurea contattarciper scoprire come proteggere la vostra organizzazione.

Il “Threat Intel Roundup” è stato redatto da Integrity360 per riassumere le notizie relative alle minacce così come le osserviamo, aggiornate alla data di pubblicazione. Non deve essere considerato come un parere legale, di consulenza o di qualsiasi altro tipo di consulenza professionale. Eventuali raccomandazioni devono essere valutate nel contesto della propria organizzazione. Integrity360 non assume alcuna posizione politica nelle informazioni che condivide. Inoltre, le opinioni espresse potrebbero non corrispondere necessariamente al punto di vista di Integrity360.